Babuk Fidye Yazılımı: Kurtarma ve Müdahale
Babuk, 2021'in başında ortaya çıkan bir fidye yazılımıdır. Aynı yıl kaynak kodunun internete sızmasıyla farklı gruplar Babuk tabanlı yeni varyantlar üretmeye başladı; özellikle VMware ESXi sunucularını hedef alan türevler yaygınlaştı.
Ödeme yapmadan ve sistemleri kapatmadan önce bize ulaşın. İlk saatlerde atılan adımlar kurtarma şansını belirler.
- İlk görülme
- 2021
- Önemli olay
- Eylül 2021'de kaynak kodu sızdı
- Türevler
- ESXi ve Linux hedefli çok sayıda varyant
- Taktik
- Şifreleme ve veri sızdırma ile çifte şantaj
- 01İzolasyon
- 02Tespit
- 03Kurtarma
- 04Güvenli dönüş
Tanım
Babuk fidye yazılımı nedir?
Babuk operatörleri 2021'de kamu kurumları dahil pek çok kuruma saldırı düzenledi. Eylül 2021'de Babuk'un tam kaynak kodu bir forumda yayımlandı ve bu kod, farklı fidye yazılımı gruplarının kendi varyantlarını üretmesinin önünü açtı.
Kaynak kodun sızmasından sonra Babuk tabanlı varyantlar farklı grup adları altında, özellikle VMware ESXi sunucularını hedef alan saldırılarda kullanılmaya devam etti. Bu yüzden aynı aileden görünen iki saldırı farklı gruplara ait olabilir.
Belirtiler
Babuk saldırısının belirtileri
Aşağıdaki işaretler saldırının bu aileye ait olabileceğini gösterir. Uzantılar ve not adları sürüme ve iştirakçiye göre değişebilir.
- Şifrelenmiş dosyalara ".babyk" ya da türeve özgü uzantıların eklenmesi
- "How To Restore Your Files.txt" adlı fidye notları
- VMware ESXi sunucularında sanal makine dosyalarının şifrelenmesi
- Türev varyantlarda farklı grup adları ve iletişim adresleri
Bulaşma yolları
Babuk sistemlere nasıl girer?
Saldırganın kullandığı giriş noktası kapatılmadan yapılan kurtarma, saldırının tekrarlanmasına yol açar. Adli analizde ilk sorduğumuz soru budur.
- Güncellenmemiş Microsoft Exchange ve sunucu zafiyetleri
- İnternete açık RDP ve VPN erişimleri
- Ele geçirilmiş yönetici hesapları
Kurtarma
Babuk ile şifrelenen dosyalar kurtarılabilir mi?
Babuk ve türevlerinde kurtarma; temiz yedeklere, ESXi anlık görüntülerine ve şifrelenmemiş kalan kopyalara bağlıdır. Secunnix şifre çözücü araç önermez; önce varyantı ve saldırının kapsamını tespit eder, ardından gerçekçi bir kurtarma planı sunar.
İnternetten indirilen şifre çözücü araçlar çoğu zaman işe yaramaz, bazıları da zararlı yazılım içerir ve dosyalara kalıcı zarar verebilir. Şifrelenmiş dosyaları olduğu gibi koruyun ve uzman ekibe ulaşın.
Acil durum rehberi
Babuk saldırısında ilk 60 dakika
Sistemleriniz şifrelendiyse panik yapmadan aşağıdaki adımları izleyin. Yanlış bir müdahale, kurtarılabilecek verileri kalıcı olarak kaybettirebilir.
Yapın
- Etkilenen cihazları ağdan ayırın: ağ kablosunu çekin, Wi-Fi ve VPN bağlantısını kesin.
- Fidye notunun, şifrelenmiş dosya uzantılarının ve ekran mesajlarının fotoğrafını çekin.
- Yedekleme sunucularını ve harici yedekleri ağdan ayırarak koruma altına alın.
- Yönetici ve servis hesaplarının parolalarını temiz bir cihazdan değiştirin.
- Olayın ne zaman fark edildiğini ve hangi sistemlerin etkilendiğini not edin.
- Uzman müdahale ekibini arayın; kişisel veri etkilendiyse 72 saatlik KVKK süresi başlamıştır.
Yapmayın
- Sistemleri kapatmayın veya yeniden başlatmayın; bellekteki deliller ve anahtarlar kaybolabilir.
- Şifrelenmiş dosyaları silmeyin, taşımayın veya adlarını değiştirmeyin.
- Saldırganla yazışmayın ve ödeme yapmayın; önce uzman değerlendirmesi alın.
- İnternette bulduğunuz bilinmeyen "şifre çözücü" araçları indirip çalıştırmayın.
- Yedekleri, olay kapsamı netleşmeden etkilenen sistemlere geri yüklemeyin.
- Antivirüs taramasının dosyaları geri getireceğini varsaymayın; temizlik şifreyi çözmez.
Fidye yazılımı aileleri
Diğer fidye yazılımı aileleri
Her ailenin bulaşma yolu, belirtileri ve kurtarma imkânları farklıdır. Maruz kaldığınız aileyi tanımak, doğru kurtarma planının ilk adımıdır.
LockBit fidye yazılımı
Dünyanın en yaygın fidye yazılımı operasyonlarından biriBelirtiler ve kurtarma →Akira fidye yazılımı
Windows ve VMware ESXi sistemlerini hedef alan fidye yazılımıBelirtiler ve kurtarma →Phobos fidye yazılımı
Küçük ve orta ölçekli işletmeleri hedef alan yaygın fidye yazılımıBelirtiler ve kurtarma →
Tekrar yaşamamak için
Fidye yazılımına karşı önleyici hizmetler
Fidye yazılımı müdahale sürecimizin tamamı için ana sayfamızı inceleyebilir, Babuk gibi saldırılara karşı sistemlerinizi düzenli olarak test ettirebilirsiniz.
SSS
Babuk hakkında sık sorulan sorular
Babuk ve türevlerinde kurtarma; temiz yedeklere, ESXi anlık görüntülerine ve şifrelenmemiş kalan kopyalara bağlıdır. Secunnix şifre çözücü araç önermez; önce varyantı ve saldırının kapsamını tespit eder, ardından gerçekçi bir kurtarma planı sunar.
En sık görülen belirtiler: şifrelenmiş dosyalara ".babyk" ya da türeve özgü uzantıların eklenmesi; "How To Restore Your Files.txt" adlı fidye notları; vMware ESXi sunucularında sanal makine dosyalarının şifrelenmesi; türev varyantlarda farklı grup adları ve iletişim adresleri. Kesin tespit için fidye notu ve örnek dosyaların incelenmesi gerekir.
Babuk saldırılarında en sık görülen giriş yolları: güncellenmemiş Microsoft Exchange ve sunucu zafiyetleri; i̇nternete açık RDP ve VPN erişimleri; ele geçirilmiş yönetici hesapları. Adli analizle sizin sisteminizde kullanılan giriş noktası tespit edilir ve kapatılır.
Ödeme yapılsa bile saldırganın verdiği anahtarın çalışacağı veya verilerin sızdırılmayacağı garanti değildir; ayrıca yaptırım riski doğabilir. Önce kurtarma seçeneklerini uzman bir ekiple değerlendirin. Secunnix saldırganlarla müzakere hizmeti vermez.
Babuk saldırısı mı yaşıyorsunuz? Hemen arayın
7/24 acil hattımızdan ulaşın; varyant tespiti, kurtarma değerlendirmesi ve adli analizi hemen başlatalım.
Müşteri Portföyümüz
